该怎么学web渗透？

时间：2022-06-03点击次数：956

先了解一下为什么需要渗透

当我们谈论安全时，我们较常听到的词是漏洞。

当我第一次开始做安全员时，我经常对漏洞这个词感到困惑，我相信你们中的许多人和我的读者都会陷入困境。

为了所有读者的利益，我将首先澄清漏洞与笔试的区别。

那么，什么是漏洞呢？漏洞是用来识别系统中可能受到安全威胁的缺陷的术语。

漏洞扫描

漏洞扫描使用户能够找出应用程序中已知的弱点，并定义修复和提高应用程序整体安全性的方法。它基本上可以确定安全补丁是否安装，系统是否正确配置，使攻击困难。

Pen Tests主要模拟实时系统，帮助用户找出未经授权的用户是否可以访问该系统。如果可能的话，可能会对数据造成什么损坏和损坏。

因此，漏洞扫描是一种调查控制方法，提出了改进安全程序、确保已知漏洞不再出现的方法，笔试是一种预防性控制方法，可以提供系统现有安全层的整体视图。

尽管这两种方法都很重要，但这取决于中实际预期的内容。

作为人员，的目的必须在进入前明确。如果目标明确，可以很好地定义是否需要进行漏洞扫描或笔试。

重要性和对Web App Pen要求：

Pentest帮助识别未知漏洞。帮助检查整体安全策略的有效性。帮助防火墙、路由器、路由器等开放部件DNS。让用户找出较容易受到攻击的路径，帮助发现敏感数据被盗的漏洞。

如果您查看当前的市场需求，移动设备的使用量将急剧增加，这正成为攻击的主要潜力。通过移动访问网站更容易受到更频繁的攻击，从而损害数据。

因此，渗透担心黑客入侵或数据丢失的情况下，渗透对建一个安全的系统是非常重要的。

网络渗透方法

该方法只是一套关于如何的安全行业标准。有一些公认的方法和标准可以用于，但因为每一个Web应用程序需要进行不同类型的，因此人员可以市场上可用的标准来创建自己的方法。

一些安全方法和标准–

OWASP（开放式Web应用程序安全项目)OSSTMM(开源安全方法手册)PTF(渗透试验框架)ISSAF(信息系统安全评估框架)href="https:// .pcisecuritystandards.org/pci_security/">PCI DSS(支付卡行业数据安全标准)

方案：

下面列出的一些方案可以用作Web应用程序渗透（WAPT）的一部分:

跨站脚本SQL注入身份验证和会话管理中断文件上传缺陷缓存服务器攻击安全错误配置跨站请求伪造密码破解

即使我已经提到了清单，人员也不应该根据上述常规标准盲目创建方法。

这是一个证明我为什么这么说的例子。

考虑是否可以使用电子商务网站进行渗透OWASP常规方法(如XSS，SQL注入等。)识别电子商务网站的所有漏洞。

答案是否定的，因为与其他网站相比，电子商务在不同的平台和技术上工作。为了使您对电子商务网站的笔试有效，人员应设计一种方法，如订单管理、优惠券和奖励管理、支付集成和内容管理系统集成等缺陷。

因此，在决定使用哪种方法之前，请确定哪种类型的网站和哪种方法将有助于找到较大的漏洞。

Web渗透试验类型

Web渗透可以通过两种方式进行。可设计为模拟内部或外部攻击。

#1)内部渗透试验–

顾名思义，内部笔试在组织内部通过LAN因此，它包括内部在线托管Web应用程序。

防火墙内是否可能存在漏洞。

我们一直认为攻击只能发生在外部，而且经常发生在内部Pentest被忽视或不太重视。

基本上，它包括恶意员工攻击不满意的员工或承包商，他们辞职，但知道内部安全策略和密码，社会工程攻击，模拟网络钓鱼攻击，攻击使用户特权或滥用未锁定的终端。

主要是在没有适当凭证的情况下访问环境，确定是否存在

#2) 外部渗透试验–

这些是从组织外部进行的外部攻击，包括Internet上托管的Web应用程序。

人员的行为就像对内部系统了解不多的黑客。

为了模拟此类攻击，人员将获得目标系统IP，没有其他信息。他们需要搜索和扫描公共网页，找到我们的目标主机，然后破坏我们找到的主机。

基本上，它包括服务器、防火墙和IDS。

网笔方法：

可分三个阶段进行：

#1)规划阶段(前)

在开始之前，建议您计划执行类型、执行方法、质量检验是否需要任何其他访问权限等。

范围定义–和我们的功能一样，在功能中，我们在开始之前定义了范围。人员可以使用的文档–确保人员拥有所有必需的文档，例如详细说明Web系统结构，集成点，Web服务集成等文件。人员应了解HTTP / HTTPS协议的基本知识，Web应用程序系统结构，流量拦截方法。确定成功标准–与我们的功能用例不同，我们可以从用户需求/功能需求中得到预期的结果，而笔则在不同的模型上进行。需要定义和批准成功标准或用例通过标准。查看以前的结果–如果进行了以前的，较好检查结果，以了解过去的漏洞和需要采取的补救措施。这总是可以更好地显示人员的情况。了解环境–人员应在开始前获得环境知识。此步骤应确保他们了解防火墙或其他需要禁止的安全协议。浏览器应转换为攻击平台，通常通过更改来完成。#2)攻击/执行阶段(期间):

鉴于Internet供应商不应限制端口和服务，因此可以在任何位置进行Web渗透。

确保以不同的用户角色运行–人员应确保不同角色的用户运行，因为该系统可能对具有不同特权的用户表现出不同的行为。了解如何处理以后的使用-人员必须遵循阶段1中定义的成功标准来报告任何使用，也必须遵循报告中发现的漏洞的定义过程。该步骤主要涉及人员在发现系统受到威胁后需要执行的操作。生成报告–没有适当报告的任何对组织都没有帮助，Web应用程序渗透也是如此。为确保结果与所有利益相关者正确共享，人员应创建适当的报告，详细说明方法、严重性和发现问题的位置。

#3)实施后阶段(后):

完成并与所有相关团队共享报告后，所有人应使用以下列表–

建议采取补救措施–笔试不仅要通过识别漏洞来结束。相关团队，包括质量检验人员，应审查检验人员报告的发现，然后讨论补救措施。重新漏洞–采取补救措施并实施后，人员应重新，以确保固定的漏洞不会作为重新的一部分。–作为Pentest部分人员会更改设置，因此应清理并恢复所有更改。顶级渗透工具

现在，因为你读了一篇完整的文章，我相信你现在正在如何以及如何渗透Web应用程序有更好的想法。

所以告诉我，我们可以手动进行渗透，还是总是使用工具自动进行渗透？毫无疑问，我认为你们大多数人都在谈论自动化。

的确，自动化带来了速度，避免了人为错误、出色的覆盖率等好处，但是Pen Test它确实需要我们进行一些手动。

手动有助于发现与业务逻辑相关的漏洞，从而减少误报。

工具容易产生许多误报，因此需要人工干预来确定它们是否是真正的漏洞。

另请阅读 – 如何使用Acunetix Web漏洞扫描程序（WVS）工具Web应用程序安全

创建工具，使我们的工作自动化。请在下面找到一些Pentest工具清单：

免费笔试工具Veracode维加打p套房NetSparker阿拉奇尼AcunetixZAP

更多工具也可以参考 – 37个强大的笔试工具适用于每个渗透仪